🇰🇷 한글 설명
Jenkins JDepend 플러그인 1.3.1 및 이전 버전은 XML 외부 엔티티(XXE) 공격을 방지하도록 구성되지 않은 오래된 버전의 JDepend Maven 플러그인을 포함하고 있습니다. 이로 인해 공격자가 조작된 XML 파일을 통해 서버의 민감한 파일에 접근하거나 내부 네트워크를 스캔할 수 있는 위험이 있습니다.
💡 쉬운 설명
프로그램이 XML이라는 파일을 읽을 때 보안 설정이 부족하여, 나쁜 의도가 담긴 파일을 읽게 만들면 서버 내부의 중요한 정보를 훔쳐갈 수 있는 문제입니다. 마치 문을 잠그지 않은 창문으로 외부인이 몰래 들어오는 것과 같습니다.
🇺🇸 원문 (English)
Jenkins JDepend Plugin 1.3.1 and earlier includes an outdated version of JDepend Maven Plugin that does not configure its XML parser to prevent XML external entity (XXE) attacks.
📍 영향받는 시스템
Jenkins JDepend Plugin 1.3.1 및 그 이전 버전
⚔️ 공격 벡터
공격자가 조작된 XML 파일을 시스템에 입력하여 XML 파서의 취약점을 이용해 데이터를 탈취함
🛡️ 대응 방법
JDepend 플러그인을 최신 버전으로 업데이트하거나, XML 파서의 외부 엔티티 참조 설정을 비활성화함
🔧 검증 코드
출력된 결과에서 jdepend 플러그인의 버전이 1.3.1 이하인지 확인합니다.
jenkins-plugin-cli list | grep jdepend